How a Payment Lookup Oracle Confirms Predictable Identifiers
यह शोध पत्र यह प्रदर्शित करता है कि थाईलैंड के प्रॉम्प्टपे (PromptPay) जैसे राष्ट्रीय भुगतान समाधान ओरेकल (oracles), अनुमानित राष्ट्रीय पहचानकर्ताओं की नियत पुष्टि (deterministic confirmation) को सक्षम करते हैं, क्योंकि ये हमलावरों को सार्वजनिक डेटा और लीक हुए रिकॉर्ड के विरुद्ध अनुमानों को सत्यापित करने की अनुमति देते हैं, एक ऐसी भेद्यता जिसे आंशिक-नाम मास्किंग प्रयासों के बावजूद प्राप्तकर्ता के नामों को बिना मास्क किए वापस किए जाने के कारण और अधिक बढ़ा दिया गया है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
आधुनिक दुनिया में तत्काल धन हस्तांतरण के दौर में, एक साधारण सुरक्षा जांच गोपनीयता के उल्लंघन का एक शक्तिशाली उपकरण बन गई है। जब आप बैंक खाते के लंबे नंबर के बजाय फोन नंबर या राष्ट्रीय पहचान कोड का उपयोग करके किसी मित्र को पैसे भेजते हैं, तो आपका बैंकिंग ऐप एक त्वरित खोज (लुकअप) करता है। यह एक केंद्रीय प्रणाली से पूछता है, "यह नंबर किसका है?" और यह सुनिश्चित करने के लिए कि आप सही व्यक्ति को पैसे भेज रहे हैं, आपके स्क्रीन पर नाम प्रदर्शित करता है। यह सुविधा, जिसे 'रेज़ोल्यूशन ऑरेकल' कहा जाता है, गलतियों और धोखाधड़ी को रोकने के लिए डिज़ाइन की गई है। हालाँकि, शोधकर्ताओं ने पाया है कि यही तंत्र, जो एक ज्ञात पहचान की पुष्टि करने के लिए बनाया गया है, अज्ञात व्यक्ति की पहचान खोजने के लिए भी इस्तेमाल किया जा सकता है। समस्या तब उत्पन्न होती है जब इस खुले लुकअप सिस्टम को इस तथ्य के साथ जोड़ा जाता है कि कई राष्ट्रीय पहचान संख्याएँ यादृच्छिक (रैंडम) नहीं होती हैं; वे जन्म तिथि और स्थानों के आधार पर एक अनुमानित पैटर्न का पालन करती हैं। अतीत में, सुरक्षा विशेषज्ञों को पता था कि इन नंबरों का अनुमान लगाया जा सकता है, लेकिन वे मानते थे कि यह जानने का कोई तरीका नहीं है कि अनुमान सही है या नहीं। नई खोज यह है कि भुगतान प्रणाली स्वयं उत्तर प्रदान करती है, जिससे एक जंगली अनुमान एक पुष्ट तथ्य में बदल जाता है।
थाईलैंड के किंग मोंगकुट'स यूनिवर्सिटी ऑफ टेक्नोलॉजी थोंबुरी के दो शोधकर्ताओं ने यह मापने के लिए प्रयास किया कि यह संयोजन वास्तव में कितना खतरा पैदा करता है। उन्होंने थाईलैंड की 'प्रॉम्प्टपे' (PromptPay) प्रणाली पर ध्यान केंद्रित किया, जो एक व्यापक रूप से उपयोग किया जाने वाला तत्काल भुगतान नेटवर्क है जहाँ लोग पैसे प्राप्त करने के लिए अपने मोबाइल नंबर या राष्ट्रीय आईडी कार्ड को पंजीकृत करते हैं। शोधकर्ताओं ने पैसा चुराने या किसी भी बैंक के कंप्यूटर सिस्टम को हैक करने की कोशिश नहीं की। इसके बजाय, उन्होंने भुगतान ऐप को प्रश्न पूछने के एक उपकरण के रूप में इस्तेमाल किया और उसके द्वारा दिए गए उत्तरों का विश्लेषण किया। उन्होंने थाई राष्ट्रीय आईडी कार्ड की संरचना को देखकर शुरुआत की। यह एक तेरह अंकों की संख्या है जहाँ शुरुआती कुछ अंक उस प्रांत और जिले को दर्शाते हैं जहाँ व्यक्ति पंजीकृत था, और अंतिम अंक एक गणितीय चेक है जो सुनिश्चित करता है कि संख्या वैध है। इस संरचना के कारण, संभावित वैध आईडी नंबरों की कुल संख्या उतनी नहीं है जितनी वह दिखती है। शोधकर्ताओं ने गणना की कि सिस्टम के नियम किसी विशिष्ट जानकारी के उपलब्ध होने से पहले ही संभावित उम्मीदवारों के समूह को एक सौ पैंतीस के कारक से कम कर देते हैं।
अध्ययन में इस बात की जांच की गई कि क्या होता है जब हमलावर के पास पहले से ही लीक हुए आईडी नंबरों की सूची होती है, जो डिजिटल दुनिया में एक ज्ञात वास्तविकता है। हाल ही में एक सार्वजनिक लीक में 1.2 मिलियन से अधिक थाई राष्ट्रीय आईडी नंबर उजागर हुए। अतीत में, ऐसी सूची होना केवल आधी लड़ाई थी; हमलावर के पास एक नंबर तो होता था लेकिन यह जानने का कोई तरीका नहीं था कि उससे कौन सा नाम जुड़ा है। शोधकर्ताओं ने दिखाया कि भुगतान लुकअप सिस्टम इस लापता कड़ी को हल कर देता है। किसी बैंकिंग ऐप में लीक किए गए आईडी नंबर दर्ज करके, सिस्टम तुरंत खाता धारक का पूरा नाम वापस कर देता है। यह एक स्थिर नंबरों की सूची को नामों की एक जीवंत, सत्यापित निर्देशिका में बदल देता है। शोधकर्ताओं ने प्रदर्शित किया कि यदि किसी दस्तावेज़ में आईडी नंबर के कुछ अंक छिपे हुए या हटाए गए हैं, तो भी आईडी कार्ड के गणितीय नियम गायब संयोजनों की संख्या को एक बहुत छोटे सेट तक सीमित कर देते हैं। एक उपयोगकर्ता बस इन कुछ संभावनाओं को भुगतान ऐप में आज़मा सकता है, और सिस्टम नाम प्रदर्शित करके सही वाले की पुष्टि करेगा, जबकि गलत वालों को अस्वीकार कर देगा।
वर्तमान गोपनीयता उपायों के कार्य करने के तरीके को समझने के लिए, शोधकर्ताओं ने सिंगापुर द्वारा अपनाई गई एक नई नीति का भी अध्ययन किया, जहाँ भुगतान ऐप अब आकस्मिक पर्यवेक्षकों द्वारा नाम पढ़े जाने से रोकने के लिए व्यक्ति के नाम के कुछ हिस्सों को छिपा देते हैं। उन्होंने हजारों थाई नामों के डेटाबेस का उपयोग करके इस विचार का परीक्षण किया। उन्होंने पाया कि सिंगापुर की पद्धति, जो प्रत्येक नाम के दूसरे आधे हिस्से को छिपाती है, आश्चर्यजनक रूप से कमजोर है। क्योंकि थाई उपनाम अक्सर एक ही परिवार के लिए अद्वितीय होते हैं, और क्योंकि नाम का पहला आधा हिस्सा अक्सर किसी व्यक्ति की पहचान करने के लिए पर्याप्त होता है, इसलिए मास्क (मुखौटा) आधे से अधिक मामलों में नाम को प्रभावी रूप से दृश्यमान छोड़ देता है। शोधकर्ताओं ने पाया कि जनसंख्या के एक बड़े हिस्से के लिए, मास्क किया गया नाम इतना अद्वितीय है कि एक व्यक्ति अभी भी व्यक्ति की पहचान कर सकता है। अधिक महत्वपूर्ण बात यह है कि उन्होंने दिखाया कि इस प्रकार का मास्किंग उस हमलावर को नहीं रोकता जो पहले से ही एक संभावित नाम रखता है। यदि हमलावर को संदेह है कि एक नाम एक विशिष्ट आईडी नंबर से संबंधित है, तो वह बस यह देख सकता है कि क्या मास्क किया गया संस्करण उसके अनुमान से मेल खाता है, जिससे प्रदर्शन सुरक्षा लक्षित हमले के खिलाफ बेकार हो जाती है।
शोधकर्ताओं ने फिर थाईलैंड में वास्तव में क्या होता है, यह देखने के लिए बैंकों के पास भी गए। उन्होंने राज्य के स्वामित्व वाले, निजी, विदेशी और इस्लामी संस्थानों सहित सात अलग-अलग बैंकों में अपने बैंक खातों और मोबाइल फोन का उपयोग करके सिस्टम का परीक्षण किया। हर एक मामले में, बिना किसी अपवाद के, ऐप्स खाता धारक का पूर्ण, बिना मास्क वाला नाम प्रदर्शित करते थे। वहां कोई कटौती नहीं थी, न ही अक्षरों को छिपाया गया था, और न ही विभिन्न बैंकों के बीच कोई भिन्नता थी। इसने पुष्टि की कि यह प्रणाली पूरे देश में समान है और वर्तमान गोपनीयता सुरक्षाएं अस्तित्वहीन हैं। शोधकर्ताओं ने यह भी देखा कि जब उन्होंने बार-बार एक ही नाम के लिए पूछा, तो सिस्टम धीमा नहीं हुआ या रुका नहीं, जिससे पता चलता है कि कम समय में अलग-अलग नंबरों को खोजने की कितनी भी बार करने पर कोई सख्त सीमा नहीं है।
इस कार्य का मुख्य निष्कर्ष यह है कि खतरा नाम प्रदर्शित करने में नहीं, बल्कि प्रश्न पूछने की क्षमता में है। शोधकर्ताओं का तर्क है कि स्क्रीन पर नाम को छिपाना ही गलत समाधान है क्योंकि यह अंतर्निहित पुष्टि प्रक्रिया को नहीं रोकता है। यदि हमलावर के पास लीक हुए नंबरों की सूची है, तो भुगतान प्रणाली एक ऐसी मशीन के रूप में कार्य करती है जो पुष्टि करती है कि कौन से नंबर वास्तविक हैं और उनके मालिक कौन हैं। शोधकर्ता सुझाव देते हैं कि समाधान प्रश्नों को नियंत्रित करना होना चाहिए, न कि उत्तरों को। इसका अर्थ है कि सिस्टम को यह सीमित करना चाहिए कि एक एकल उपयोगकर्ता एक दिन में कितनी बार अलग-अलग नंबरों को देख सकता है, या असामान्य खोज पैटर्न को चिह्नित करना चाहिए। वे इस बात पर जोर देते हैं कि यह कोई सॉफ्टवेयर बग नहीं है जिसे पैच किया जा सके, बल्कि भुगतान प्रणाली की एक डिज़ाइन विशेषता है जो ईमानदार उपयोगकर्ताओं के लिए एक उपयोगी उद्देश्य की पूर्ति करती है और साथ ही एक जोखिम भी पैदा करती है। अध्ययन इस निष्कर्ष के साथ समाप्त होता है कि तत्काल भुगतान प्रणालियों के सुरक्षित होने के लिए, ऑपरेटरों को इन लुकअप को कितनी बार किया जा सकता है, इस पर सख्त सीमाएं लागू करनी चाहिए, यह सुनिश्चित करते हुए कि सिस्टम ज्ञात प्राप्तकर्ता की पुष्टि करने के लिए एक उपकरण बना रहे, न कि अजनबियों को खोजने के लिए एक निर्देशिका।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।